ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp Kädi Lepp Teie 11.04.2026 nr 1-11/7-2
[email protected]
Meie 27.04.2026 nr 2.2-9/26/1534-2
Vastus selgitustaotlusele
Andmekaitse Inspektsioon (AKI) sai Teie pöördumise seoses koolitervishoiuteenuse osutamisel
esineva infoturbe riskiga, mis puudutab kooliõdede töökohtade andmeside turvalisust ja selle
vastavust kehtivatele nõuetele.
Nõustume Sotsiaalministeeriumi 27.03.2026 vastuse nr 5.2-2/621-2 selgitustega, et
terviseandmete kui eriliiki isikuandmete töötlemisel eeldatakse kõrgendatud turvameetmete (nii
tehniliste kui ka korralduslike) rakendamist. Tervisealased isikuandmed on ka põhiõiguste ja -
vabaduste seisukohast eriti tundlikud andmed, mistõttu on oluline, et nende töötlemisel oleks
tagatud piisav usaldusväärsus ja konfidentsiaalsus.
AKI hinnangul ei ole jagatud või üldkasutatava koolivõrgu kasutamine ilma asjakohaste
tehniliste eraldus- ja kaitsemeetmeteta terviseandmete töötlemiseks piisavalt turvaline. Ka Teie
pöördumises kirjeldatud praktika, kus terviseandmeid edastatakse krüpteerimata kujul e-posti
teel, kujutab endast kõrget riski. Selline edastamine peaks üldjuhul olema välistatud, erandina
tuleb rakendada täiendavaid turvameetmeid, eelkõige krüpteerimist.
Isikuandmete kaitse üldmääruse (IKÜM) artikli 32 kohaselt on vastutava töötleja
(tervishoiuteenuse osutaja) kohustus rakendada asjakohaseid tehnilisi ja korralduslikke
meetmeid, mis tagavad isikuandmete turvalisuse, sh konfidentsiaalsuse, tervikluse ja
käideldavuse. Koolitervishoiu puhul on olukord spetsiifiline, kuna tervishoiuteenuse osutaja
tegutseb koolipidaja keskkonnas ning kasutab muu hulgas kooli sidevõrku. Asjaolu, et
tervishoiuteenuse osutaja ei ole kasutatava sidevõrgu omanik ega haldaja, ei vabasta teda
kohustusest tagada isikuandmete töötlemise turvalisus. Kui kooli võrk ei vasta eriliiki
isikuandmete töötlemiseks nõutavale turbetasemele, kaasneb sellises keskkonnas teenuse
osutamisega oluline IKÜM nõuete rikkumise risk.
Juhime tähelepanu, et kui vastutav töötleja kasutab oma tegevuses volitatud töötlejat, tuleb poolte
vahel sõlmida andmetöötlusleping vastavalt IKÜM artiklile 28. Koolipidaja rolli (nt sidevõrgu
võimaldamisel) tuleb hinnata juhtumipõhiselt, sealhulgas seda, kas tegemist on volitatud
töötlejaga IKÜM tähenduses1. Töötlemisleping ei peaks piirduma IKÜM sätete kordamisega,
1
Vastutava ja volitatud töötleja mõistetest ja vahelistest suhetest saab rohkem infot AKI kogulehelt ning Euroopa
Andmekaitsenõukogu suunistest.
Tatari 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
vaid peab sisaldama konkreetset kirjeldust rakendatavatest meetmetest, sh nõutavast
turbetasemest ning töötlemise esemest ja ulatusest.
AKI hinnangul kaasneb kirjeldatud ebaühtlase praktikaga märkimisväärne isikuandmete kaitse
rikkumise risk. Peame põhjendatuks algatada koordineeritud tegevus praktika ühtlustamiseks
ning ühtse riikliku lahenduse väljatöötamiseks. AKI on valmis selles küsimuses vajadusel
täiendavalt kaasa rääkima.
Lugupidamisega
Irina Meldjuk
jurist
peadirektori volitusel
2 (2)